/var/log/balo

Trükkös facebook spam - böngésző kiterjesztéssel

Általában nem írnék meg egy erről szóló bejegyzést, mert minden bokorban terem már egy valamilyen módon spamelő vagy kémkedő alkalmazás. Egy ismerősöm azzal keresett meg, hogy spam üzenetek jelennek meg a falán, amikben random ismerősök vannak betagelve. Gondoltam megint egy spammer facebook alkalmazás, de állította, hogy már minden alkalmazást kitörölt. Nekem is gyanús volt, hogy a feltöltött képek és bejegyzések a saját nevével érkeznek.
Itt még mindig egy primitív dologra gyanakodtam, de amikor jelszóváltoztatás után is érkeztek a bejegyzések már éreztem, hogy itt valami disznóság van, ezért elkezdtem nyomozni :)
A posztban lévő link egy dropbox linkre mutat, ami teljesen leutánozza a youtube kinézetét, azzal a kivétellel, hogy egy plugin telepítését kéri a felhasználótól! Itt már megszólal a vészcsengő egy tapasztaltabb felhasználónál, de a gyanútlan áldozatok rákattintanak. Gondolhatjuk, hogy megint csak egy oldal lájkoló láthatatlan <div>... De nézzük csak meg, hogy mit is csinál ez a link!

(Sajnos erről képernyőképet nem készítettem először, azóta pedig a dropbox letiltotta, mert elérte a forgalmi korlátot. Ha holnap működik még az oldal, akkor frissítem a bejegyzést, addig higgyétek el nekem :-)

Többek között megvizsgálja a böngészőt és letölt egy ennek megfelelő bővítményt (Chrome és Firefox érintett, a többit átirányítja egy másik oldalra).
Kicsit utánajártam a Crome bővítménynek (letölthető itt, Firefox bővítmény itt), egy "YouTube Premium Video" kiterjesztésnek álcázza magát, valódi Youtube ikonokkal.
Az analytics (UA-31861921-1) és whois.among.us (3bcmg6ofjwms) statisztikákon kívül még behivatkozik egy, a konkrét spamelést és terjesztést végző javascriptet: http://feedbuzz.info/js.php (ha időközben elérhetetlenné válna, a kimenet letölthető itt)

Hogyan kerüljük el?

  1. Mindig ellenőrizzük a meglátogatott oldalak URL-jét. Itt is feltűnhetett volna, hogy a szokásos youtube.com helyett dl.dropbox.com van.
  2. Gyanakodjunk, ha egy gyakran látogatott, ismert működésű oldal hirtelen valaminek a letöltésére, elvégzésére kér fel.
  3. Csak megbízható forrásból telepítsünk bővítményeket és időnként nézzük őket végig, a már nem használtakat töröljük, tiltsuk le!
  4. Ne higgyünk a kihagyhatatlan, úgy sem tudjuk x másodpercnél tovább nézni, Justin Bieber akasztása (!!!), kígyó megeszik egy embert, egyéb badarságokat kínáló bejegyzéseknek. Ha mégis nagyon érdekel, akkor legyünk gyanakvóak és használjuk a Chrome jobb gomb a linkre -> Megnyitás inkognitó ablakban funkcióját, így legalább a bejelentkezett munkamenetünkhöz nem férnek hozzá.

Tipp: ne csak a kiegészítőket, hanem a beépülőket is ellenőrizzük (Chrome esetében chrome://plugins)! A nem használtakat pedig tiltsuk le (pl. Remoting viewer, Microsoft Office, VLC, Silverlight, Java (!!!))

Megjegyzés 1: nem tisztázott, hogy Chrome 21-re hogyan került fel a bővítmény egy idegen oldalról. Chrome 20-ban még felajánlotta, hogy telepítésre kerüljön-e, de a 21-es verzióban figyelmeztet, hogy csak az áruházból telepíthető bővítmény és emiatt elutasításra kerül. Linux alatti Chrome-ra pedig fel sem sikerült telepítenem, mert hibás bővítményt írt.

Frissítés(08.05): a stuff másnak is feltűnt, az érdeklődők az exposedbotnets oldalán további információkat és kódrészleteket találhatnak a kiterjesztéssel kapcsolatban.

#biztonság #böngészők #chrome #facebook #firefox #kiegészítő #plugin #spam